Overview of trusted computing capabilities - Elastic Compute Service

Güvenilir bilişim yeteneklerine giriş

Güvenilir bilişim, cloud kiracıları için temel hesaplama ortamlarının üst düzey güvenliğini sağlamak amacıyla kullanılan ana özelliklerden biridir. Sanal bir Güvenilir Platform Modülü (vTPM), sanal bir güven kökü olarak kullanılarak uzaktan doğrulama mekanizması sağlar ve sistem başlangıcından kullanıcı tarafından belirtilen uygulamalara kadar uzanan bir güven zinciri oluşturur. Bu sayede, başlatma ve çalışma aşamalarında her açıdan kullanıcılar için güvenilir bir ortam garanti edilir. Sistemlerin ve uygulamaların güven doğrulaması, bilinmeyen veya değiştirilmiş sistemler ya da yazılımlardan kaynaklanan saldırılara karşı hassasiyeti azaltır.

Güvenilir bilişim yeteneklerini destekleyen örnek aileleri

Not

g7t, c7t ve r7t örnek aileleri Software Guard Extensions (SGX) gizli bilgi işlem özelliğini destekler. Elastic Compute Service (ECS) konsolunda yukarıdaki örnek ailelerinden örnekler oluşturduğunuzda Alibaba Cloud SGX çalışma zamanı otomatik olarak yüklenir. SGX gizli bilgi işlem hakkında daha fazla bilgi için bkz. SGX ortamı oluşturma.

Güvenilir bir örneğin çalışma şekli

Güvenilir örnekler, bütünlük doğrulaması yapmak için güvenilir bilişim teknolojisini kullanır. Bu sayede güvenilir örneklerin başlatma veya çekirdek düzeyindeki kötü amaçlı yazılımlar ya da rootkit'ler tarafından ele geçirilmediği garanti edilir. Güvenilir örnekler; Unified Extensible Firmware Interface (UEFI) ürün yazılımı, vTPM'ler veya sanal Güvenilir Kriptografi Modülleri (vTCM) ve bir uzaktan doğrulama hizmeti kullanarak ölçümlü başlatma ve bütünlük doğrulaması sağlar, böylece güvenliği ve güvenilirliği temin eder.

Ürün yazılımı güvenliği

Alibaba Cloud, güvenli ürün yazılımı güncellemelerini destekler. Ürün yazılımı güncellenmeden önce imzalar doğrulanarak yalnızca yetkili ürün yazılımlarının güncellendiği garanti edilir. Bu sayede kötü amaçlı ürün yazılımlarının cloud altyapısına saldırması engellenir.

vTPM ve vTCM

vTPM'ler ve vTCM'ler, güveni güvenilir sunucu donanımından güvenilir örneklere aktarmak için kullanılabilecek sanallaştırılmış ve güvenilir platform modülleridir. vTPM'ler TPM 2.0 ile tam uyumludur. vTCM'ler ise TCM 2.0 ile tam uyumludur. Güvenilir örnekler; bir vTPM veya vTCM kullanarak sanal bir güven kökü oluşturur ve ana katmandaki güvenilir başlatma zinciri ile uzaktan doğrulama mekanizmasına benzer şekilde çalışan bir güvenilir başlatma zinciri ve uzaktan doğrulama mekanizması uygular. Bir örnek oluşturduğunuzda bir kıyas ölçümü oluşturulur. Sonraki örnek başlatmalarında toplanan ölçüm değerleri, örneğin değişip değişmediğini belirlemek için bu kıyas ölçümü ile karşılaştırılır. Karşılaştırma sonucu, örneğin güvenilir durumunu gösterir ve Security Center konsolunda görüntülenir.

UEFI ürün yazılımı

Güvenilir örnekler, sistem başlatma için UEFI teknik özelliklerine uygun güvenilir başlatma ürün yazılımı kullanır. UEFI ürün yazılımı, işletim sisteminin başlatma süreci sırasında sistem ürün yazılımının, sistem başlatıcılarının ve sistem çekirdek modüllerinin bütünlüğünü ölçerek sistem başlatma için bir güven zinciri oluşturur.

Ölçümlü başlatma

Bileşenler aşama aşama ölçülür. Önce başlatılan bileşenler, sonraki aşamada başlatılan bileşenleri ölçer. Ölçüm başarılı olursa güven zinciri bir sonraki aşamaya genişletilir.

Temel donanımdan misafir işletim sistemine kadar başlatma zincirindeki her modül, bir örneğin başlatma süreci sırasında ölçülür. Modüller yüklendiğinde güvenilir bileşenler her modül için bir karma değeri hesaplar ve hesaplanan karma değerlerini güven köküne güvenli bir şekilde kaydederek bir güven zinciri oluşturur. Başlatma zincirindeki tüm modüllerin aşama aşama ölçülmesi ve doğrulanması, sistemin önceki başlatmadan itibaren değişmeden kaldığını garanti eder.

Bütünlük doğrulaması

Bütünlük doğrulaması, örneklerin güvenilir durumunu anlamanıza ve buna göre karar vermenize yardımcı olur.

Bir örneği ilk kez başlattığınızda güvenilir bileşenler, kıyas ölçümü olarak ilk karma değeri kümesini oluşturur ve verileri güvenli bir şekilde depolar. Ardından, örnek her başlatıldığında ölçüm ve depolama işlemleri gerçekleştirilir. Güvenilir bileşenler, ölçüm değerlerini uzaktan doğrulama yoluyla güvenilir hizmete gönderir. En son ölçüm verilerini kıyas ölçümü ile karşılaştırarak örneğin bütünlüğünü ölçebilir ve doğrulayabilir, ayrıca örneğin beklenen güvenilir durumda çalışıp çalışmadığını belirleyebilirsiniz.

Bütünlük doğrulaması, başlatma ölçüm bilgilerini bir örneğin kıyas ölçümü ile karşılaştırır. Başlatma ölçüm bilgileri kıyas ölçümüyle eşleşirse başarı sonucu döndürülür; bu, örneğin güvenilir olduğunu gösterir. Aksi takdirde hata sonucu döndürülür; bu da örneğin güvenilir olmadığını belirtir.

Belirli senaryolarda (örneğin bir örneğin sistem güncellemesi sırasında) beklenen bir bütünlük doğrulama hatası oluşursa, örnek kıyas ölçümünü güncellemek için güvenilir olayı bir izin listesine ekleyebilirsiniz. Sonraki bütünlük ölçümleri en son kıyas ölçümüne göre yapılır. Daha fazla bilgi için "Güvenilir örnekleri kullanma" konusundaki Güven istisnalarını yönetme bölümüne bakın.
Beklenmedik bir bütünlük doğrulama hatası oluşursa, örneğin güvenilmeyen bir ortamda çalışmasını önlemek amacıyla hatanın nedenini güvenilir olay ayrıntılarına dayanarak belirleyin.